Les pirates informatiques de la Corée du Nord ont atteint une étape dévastatrice en 2025 : US$2 milliards volés

Les hackers soutenus par la Corée du Nord ont clôturé 2025 avec leur plus grande récolte de cryptomonnaies jamais enregistrée. Ce chiffre n’est pas un simple nombre : 2 milliards de dollars en vols représentent une hausse de 51 % par rapport à 2024, portant le total cumulé de la République populaire démocratique de Corée à 6,750 milliards de dollars. Selon le rapport le plus récent de Chainalysis, nous assistons à une évolution critique dans le paysage des menaces cybernétiques mondiales.

Ce qui rend ces données particulièrement alarmantes, ce n’est pas seulement leur ampleur, mais le modèle sous-jacent : moins d’attaques, mais exponentiellement plus destructrices.

La mutation vers des attaques de portée catastrophique

Dans les années précédentes, les cybercriminels diversifiaient leurs cibles. Ils visaient plusieurs petites et moyennes victimes dans une recherche de volume. Les acteurs de la Corée du Nord ont adopté une stratégie totalement différente en 2025.

Ils ont été responsables de 76 % de toutes les violations ciblant des services de niveau entreprise, le pourcentage le plus élevé jamais enregistré. Cela signifie que pratiquement toutes les grandes brèches dans des services cryptographiques centralisés portaient la signature numérique de Pyongyang. Alors que d’autres groupes criminels privilégient la quantité, ces acteurs disposent des ressources, de la spécialisation et de la patience pour lancer peu d’opérations mais monumentales.

Ce changement est stratégique. Une attaque massive contre une grande plateforme génère un impact géopolitique, crée une pression réglementaire et paralyse les marchés. L’économie du crime cybernétique de la Corée du Nord est devenue une industrie.

Machines à argent sophistiquées : comment fonctionnent les opérations de blanchiment

Après le vol, vient la conversion. Et c’est ici que la sophistication opérationnelle de la Corée du Nord devient visible.

Contrairement à d’autres criminels qui effectuent de grandes transferts facilement traçables en chaîne, ces acteurs fragmentent leurs mouvements en portions soigneuses, généralement inférieures à 500 000 dollars US. C’est un jeu de patience : de multiples petites transactions plutôt qu’une grande évidente.

Les portefeuilles liés à la Corée du Nord montrent une dépendance notable à trois canaux spécifiques :

Services d’échange en chinois - Plateformes régionales servant de portes d’entrée locales
Ponts décentralisés et services de mélange - Outils techniques qui rompent la traçabilité des fonds
Garanties et courtiers régionaux - Intermédiaires facilitant la conversion en liquide

Notez ce qu’ils n’utilisent pas : protocoles DeFi, échanges décentralisés, plateformes peer-to-peer. La raison est claire : limitations structurelles et dépendance à des facilitateurs régionaux spécifiques plutôt qu’à l’infrastructure financière globale.

L’analyse temporelle de Chainalysis révèle un modèle surprenant : les grands vols suivent une fenêtre de blanchiment d’environ 45 jours. Pendant cette période, les fonds passent par différentes phases, de l’obfuscation immédiate à l’intégration finale. Bien que ce ne soit pas universel, la cohérence de cette ligne de temps entre plusieurs opérations suggère des processus fortement standardisés.

L’intelligence artificielle comme superpuissance criminelle

Comment la Corée du Nord exécute-t-elle cette échelle d’opérations avec une telle précision ? La réponse, selon Andrew Fierman, chef de l’intelligence de sécurité nationale chez Chainalysis, pointe vers un facteur clé : l’intelligence artificielle.

« La Corée du Nord facilite le blanchiment de vols de cryptomonnaies avec une cohérence et une fluidité indicatives de l’utilisation de l’IA », a-t-il expliqué. Le mécanisme de blanchiment structure les fonds via des mélangeurs, des ponts et des protocoles dès les premières étapes, créant un flux de travail combinant plusieurs outils de conversion.

« Pour réaliser cette efficacité lors du vol de volumes aussi importants, la Corée du Nord a besoin d’un réseau de blanchiment massif associé à des mécanismes optimisés, qui se manifestent probablement par l’utilisation de l’IA. »

Ce n’est pas de la paranoïa technologique. C’est une observation sur l’infrastructure opérationnelle : la vitesse de conversion, la précision des montants, la cohérence temporelle et la sophistication de la sécurité opérationnelle s’alignent avec une automatisation intelligente.

Un paysage polarisé des menaces cybernétiques

Pendant ce temps, le reste du panorama criminel crypto présente un contraste intéressant. Les compromissions de portefeuilles individuels ne représentaient que 20 % de la valeur totale volée en 2025, en baisse par rapport à 44 % en 2024. Bien que le nombre d’incidents contre des utilisateurs individuels ait augmenté à 158 000, la valeur moyenne par victime a diminué de 52 %, atteignant 713 millions de dollars US au total.

Traduction : les attaquants ciblent plus de personnes mais volent moins à chaque.

La Corée du Nord se trouve à l’autre extrémité du spectre : vols massifs et très rares, mais catastrophiques. La majorité des groupes opèrent là où il y a un volume d’objectifs petits. Les acteurs de la Corée du Nord opèrent là où l’impact est maximal.

Ce que cela signifie pour l’avenir

Alors que 2025 se termine et que l’on se tourne vers 2026, les efforts de la Corée du Nord en matière de hacking cryptographique ne montrent aucun signe de diminution. Les données suggèrent un environnement de menaces de plus en plus polarisé : vols de faible valeur ciblant des individus d’un côté, brèches rares mais dévastatrices au niveau des services de l’autre, avec la Corée du Nord fermement au centre de ces dernières.

Pour les équipes de conformité et d’application de la loi, ces constats offrent un phare : la fenêtre de 45 jours de blanchiment offre une opportunité temporaire d’intercepter les fonds avant leur conversion finale. Mais cela nécessite une coordination rapide entre plateformes, juridictions et analystes spécialisés.

Pour les plateformes de cryptomonnaies, le message est clair : lorsque l’attaquant est une nation-État dotée de ressources industrielles en cybersécurité et d’accès à l’IA, les défenses classiques peuvent ne pas suffire.